Radim Marek：深入了解PostgREST - 请假管理器（第三部分）
原文英文，约2200词，阅读约需8分钟。
📝
内容提要
这是“深入了解PostgREST”的第三部分，讲解了身份验证和授权选项。使用PostgreSQL的pgcrypto扩展来安全存储用户密码。使用JSON Web Tokens (JWTs)实现无状态身份验证。使用PostgREST和PostgreSQL的Row Level Security (RLS)实现细粒度授权。完成了Time Off Manager的核心功能，包括假期余额和审批工作流程。
🎯
关键要点
-
这是关于PostgREST的第三部分，讲解身份验证和授权选项。
-
使用PostgreSQL的pgcrypto扩展安全存储用户密码。
-
使用bcrypt算法生成密码哈希，确保密码安全。
-
实现无状态身份验证，使用JSON Web Tokens (JWTs)。
-
JWT包含用户身份的声明，确保令牌的完整性。
-
创建用户角色以支持身份验证和授权。
-
使用Row Level Security (RLS)实现细粒度授权，确保用户只能访问其有权查看的数据。
-
为Time Off Manager实现假期余额和审批工作流程的核心功能。
-
通过创建和管理请求时间的函数，确保用户只能请求自己的假期。
-
更新请求状态的函数确保只有经理可以批准或拒绝请求。
❓
延伸问答
如何使用PostgreSQL的pgcrypto扩展安全存储用户密码？
可以通过创建一个密码哈希列，并使用bcrypt算法生成密码哈希来安全存储用户密码。
什么是JSON Web Tokens (JWTs)，它们在身份验证中如何使用？
JWTs是包含用户身份声明的数字签名信息，用于实现无状态身份验证，确保令牌的完整性。
如何在PostgREST中实现细粒度授权？
通过使用PostgreSQL的行级安全性（RLS）来确保用户只能访问其有权查看的数据。
Time Off Manager的核心功能包括哪些内容？
核心功能包括假期余额管理和审批工作流程。
如何创建和管理用户角色以支持身份验证和授权？
可以通过创建特定角色并在JWT中包含角色声明来管理用户角色。
在PostgREST中如何确保只有经理可以批准或拒绝假期请求？
通过更新请求状态的函数，确保只有经理的用户ID可以执行批准或拒绝操作。
